Active Directory'de Yetki Verilen İzinleri Algılama

Active Directory'deki güvenlik izinleri yanıltıcı bir konu olabilir. Microsoft yalnızca Kullanıcılar ve Bilgisayarlar'da bunları varsayılan olarak sizden gizlemekle kalmıyor, aynı zamanda izinlerin AD'ye nasıl uygulandığına dair genel bir resim elde etmek için yerleşik bir araç da bulunmuyor.

Bu makalede size yetki verme, izinleri kaldırma, devredilen izinleri bulmak için yerleşik- araçları kullanma ve son olarak AD'yi tarayan özel bir PowerShell betiği kullanmanın temellerini anlatacağım.

Neden Delege?

Finans, İK, satış, üst yönetim gibi çeşitli departmanlardan oluşan büyük bir şirketin başkanı olduğunuzu hayal edin. Eğer şifresini unutan her kullanıcı BT yardım masasını aramak zorunda kalsaydı, çağrılara boğulurdunuz.

Bunun yerine, kendi ekibinin şifrelerini sıfırlayabilmesi için her departmanın başkanına izinler atayabilirsiniz.

Yetki vermenin bir diğer klasik kullanım örneği, personelin birbirlerine e-posta gönderme yeteneğidir (paylaşılan bir posta kutusu veya patronu adına e-posta gönderen bir PA).

Herkese Etki Alanı Yöneticisi verilsin mi?

Tamam, her departman başkanına Etki Alanı Yöneticisi izinleri verelim, böylece gerektiğinde şifreleri sıfırlayabilirler diye düşünmüş olabilirsiniz.

Bu teknik olarak doğru olsa da, kullanıcı verilerine erişim de dahil olmak üzere sizin yapabileceğiniz her şeyi yapabileceklerdir. Veri ihlali yaklaşıyor!

AD'de izinler nasıl devredilir

Bunu başarmanın doğru yolu elbette Delegasyon'u kullanmaktır. Bu, vermek istediğiniz izinleri ayrı ayrı seçmenize olanak tanır.

1. Active Directory Kullanıcılar ve Bilgisayarlar'ı açın ve favori test etki alanınıza bağlanın.

2. Şifrelerin sıfırlanmasına izin vermek istediğiniz departman Organizasyon Birimi'ne sağ tıklayın.

3. 'Denetim Denetimi' seçeneğini bulun (bu, listedeki ilk seçenek olmalıdır). Buna tıklayın ve İleri'ye basın.

4. Artık kontrolü devretmek istediğiniz kullanıcıları veya grupları seçmeniz istenir; bunlar, bir görevi gerçekleştirebilmelerini istediğiniz kişilerdir.
Delege ettiğiniz her izin kümesi için bir güvenlik grubu oluşturmanız KESİNLİKLE önerilir (ör., 'Satış - Parola Sıfırlama Yeteneği', 'İK - Parola Sıfırlama Yeteneği' için bir güvenlik grubu). Bu, doğrudan izinlerle uğraşmak yerine gelecekte bu gruplara kolayca kullanıcı eklemenize/kaldırmanıza olanak tanır.

5. Devam edin ve bir gruba ekleyin. (Aşağıdaki şekilde üst düzey yönetim ekibimize ekledim.)

6. İleri'ye basın ve ardından 'Kullanıcı şifrelerini sıfırla ve bir sonraki oturum açmada şifre değişikliğini zorla' seçeneğini seçin.

7. İleri'ye basın ve bitirin; işiniz bitti!

AD'de Yetki Verilen İzinleri Kaldırma

Artık sihirbazı tamamladığınıza göre, izinleri gerçekten devrettiğinizi nasıl kontrol edeceğinizi ve bunları tekrar nasıl kaldıracağınızı merak ediyor olabilirsiniz.

1. Kullanıcılar ve Bilgisayarlar'dan Görünüm menüsüne basın ve 'Gelişmiş Özellikler'in işaretlendiğinden emin olun.

2. Bu kutuyu işaretleyerek Active Directory'deki nesnelerde Özellikler'i seçtiğinizde güvenlik sekmesini görebilirsiniz.
Az önce izin verdiğiniz aynı kuruluş birimine sağ tıklayın ve Özellikler'i ve ardından Güvenlik Sekmesini seçin.

3. 'Gelişmiş'i seçin ve az önce izin verdiğiniz grubu bulana kadar yukarı ve aşağı kaydırın. 'Erişim' altında listelenen 'Şifreyi Sıfırla' iznini görmelisiniz.

4. Bu izni kaldırmak istiyorsanız onu seçip Kaldır'a basabilirsiniz, ancak şimdilik olduğu yerde bırakıp İptal'e basabilirsiniz.

Gördüğünüz gibi, devredilen izinleri bulmak oldukça zordur; özellikle de yalnızca kuruluş birimlerine değil aynı zamanda güvenlik gruplarına ve hatta kullanıcı nesnelerine de yetki verebildiğinizi düşündüğünüzde.

İzin Avcılığı (DSACLS Kullanarak)

Yani, dikkate almanız gereken bir kabus senaryosu, birisinin patronun şifresini sıfırlamasıdır ve bunu yapmak için kimin izni olduğunu bulmanız gerekir. (Netwrix Auditor'ı yüklediyseniz oraya bir göz atabilirsiniz, ancak şimdilik yapmadığınızı varsayacağız.)

1. Kullanıcılar ve Bilgisayarlar'da izinlerini kontrol etmek istediğiniz kullanıcı nesnesine gidin.

2. Sağ tıklayın ve Özellikleri Seç'i ve ardından 'Özellik Düzenleyicisi'ni seçin

3. 'Ayırt EdiciAd'ı kaydırın ve çift tıklayın. Bu dizeyi daha sonra kullanmak üzere kopyalayın.

4. Bir komut istemi açın ve 'dsacls' yazın, ardından az önce kopyaladığınız dizeyi konuşma işaretlerinin içine yapıştırın:

5. Enter'a basın.

6. Bu noktada muhtemelen ekranda çok fazla izin bulunduğunu fark edeceksiniz; iki seçeneğiniz var:

A. Her seferinde bir ekranı tamamen görüntülemek için komutun sonundaki |more komutunu kullanın.

B. Çıktıyı bir metin dosyasına aktarın ve bunun yerine > dosyaadı.txt kullanarak okuyun.

7. 2. seçeneğe gittim, dosyayı not defterinde açtım ve sonunda üst düzey yönetim grubunun patronun şifresini sıfırlama iznine sahip olduğunu gördüm!

İzin Avcılığı (PowerShell Kullanarak)

Artık yetkilendirmeyi keşfettiğinize göre, geçmiş çalışanlardan veya kötü niyetli yöneticilerden kaynaklanan, bilmediğiniz herhangi bir yetkilendirme olup olmadığını merak ediyor olabilirsiniz.

Temsilci atanabilir her nesne türünü arayacak ve iki ortak izin delegasyonunu listeleyecek kısa bir PowerShell betiği hazırladım: parolayı sıfırla ve 'farklı gönder' (Exchange'ten).

Aşağıda bir alan adından çalıştırılan bir örnek verilmiştir:

Bu betiği kendi alanınızda kullanmak için:

1. Active Directory Kullanıcıları ve Bilgisayarları'nı açın ve araştırdığınız alana (veya Kuruluş Birimi'ne) gidin.

2. Sağ tıklayın ve Özellikler'i seçin.

3. 'Özellik Düzenleyicisi' sekmesinde 'distinguishedName' özelliğini arayın.

4. Bunu seçin ve Görüntüle'ye basın, ardından LDAP Yolunu kopyalayın. Buna daha sonra ihtiyacınız olacak.

5. Komut dosyasının bir kopyasını GitHub'dan indirin:

https://raw.githubusercontent.com/thephoton/activedirectory-delegation-searcher/master/search.ps1

6. PowerShell ISE'yi kullanarak betiği sağ tıklayın ve düzenleyin.

7. 6. satırı düzenleyin ($bSearch=…),, DOMAINCONTROLLER yerine alan adınızın DC'lerinden birinin adını yazın.

8. LDAP kısmını 4. adımda kopyaladığınız yolla değiştirerek 6. satırı düzenleyin.

9. Komut dosyasını kaydedin ve çalıştır'a basın.

10. Komut dosyasının Active Directory'nizde arama yapmasına izin verin; ilerleme konsolda raporlanır ve tamamlandığında, kendilerine yetkilendirilmiş izinlere sahip nesnelerin ayrıntılarını içeren bir açılır pencere görüntülenir; şaşırmış olabilirsiniz!

Active Directory'de izinleri kimin değiştirdiğinin nasıl tespit edileceği hakkında daha fazla bilgiye ihtiyacınız varsa nasıl yapılır bölümümüze bakın. Ayrıca Netwrix'in, Active Directory'de ve dosya paylaşımlarında kimin ne izinlere sahip olduğu konusunda eyleme geçirilebilir bilgiler sunan ücretsiz bir aracı da bulunmaktadır.

Eğlence!